Die schnelle und möglichst vollständige Wiederherstellung von Unternehmensdaten bei Verlusten durch böswillige, versehentliche oder zufällige Szenarien gehört zum unabdingbaren Grundschutz eines KMU. Dazu bedarf es der Implementierung eines ausgeklügelten Datensicherungsprozesses.
Wichtigste Merkpunkte für Unternehmen:
- Erstellen Sie ein Inventar Ihrer IT-Systeme und Daten und bestimmen Sie dafür jeweils den maximal tolerierbaren Ausfall resp. Verlust.
- Bilden Sie darauf basierend Schutzklassen von Objekten mit gleichem Risiko und definieren Sie für jede Schutzklasse das jeweilige Datensicherungskonzept.
- Definieren und implementieren Sie in Ihrem KMU einen Datensicherungsprozess.
- Prüfen Sie regelmässig die korrekte Datensicherung gemäss Datensicherungskonzept und die Wiederherstellbarkeit der Daten.
Der Datensicherungsprozess
Mit fortschreitender Digitalisierung nimmt auch in KMU die Zahl der eingesetzten IT-Systeme und die Menge an verarbeiteten Daten stetig zu. Damit steigt die Abhängigkeit der KMU von der uneingeschränkten Verfügbarkeit dieser IT-Systeme und Daten.
Umfangreiche Datenverluste, wie sie etwa durch böswillige Cyberangriffe, technische Defekte, Elementarschäden oder auch bloss durch versehentliche Löschungen entstehen, können für KMU eine existentielle Bedrohung darstellen. Die Fähigkeit einer schnellen und möglichst vollständigen Wiederherstellung von Unternehmensdaten aus einer Datensicherung gehört daher zum unabdingbaren Grundschutz.
Hierfür ist ein Datensicherungsprozess zu etablieren, der die ordnungsgemässe Durchführung der Datensicherung gemäss Datensicherungskonzept gewährleistet. Ebenso wichtig ist, dass in diesem Prozess auch regelmässig das Funktionieren der Datenwiederherstellung überprüft wird.
Die Schutzklassen
Nicht jedes IT-System einer KMU ist gleich kritisch für den Geschäftsprozess. Es braucht daher eine differenzierte Beurteilung des Schutzbedürfnisses von IT-Systemen und Daten. Ein umfassendes und aktuelles Inventar sämtlicher IT-Systeme und Daten bildet die Grundlage, um sich einen Überblick zu verschaffen und die darin geführten Objekte jeweils einer angemessenen Schutzklasse zuzuordnen.
| SK | Bezeichnung | Risiko | Max. tolerierbarer Ausfall/Verlust | Wiederherstellungszeit | Aufbewahrungsfristen |
|---|---|---|---|---|---|
| I | Normaler Schutzbedarf | Klein | < 1 Tag | < 1 Woche | > 1 Woche |
| II | Hoher Schutzbedarf | Mittel | 1 Tag | 1 Tag | > 1 Monat |
| III | Sehr hoher Schutzbedarf | Hoch | < ½ Tag | < 1 Tag | > 1 Jahr |
Neben der Gefährdung durch die genannten schädlichen Einflüsse sind weitere Kriterien in die Betrachtung einzubeziehen. Dazu zählen einerseits die Einschätzung des jeweils maximal tolerierbaren zeitlichen Ausfalls von IT-Systemen resp. des quantitativen Verlusts von Daten und andererseits die erforderlichen Aufbewahrungsfristen.
Mittels einer solchen Beurteilung lassen sich IT-Systeme und Daten mit ähnlichem Schutzbedürfnis zu Schutzklassen zusammenfassen. Für jede Schutzklasse werden daraufhin die Anforderungen an ein angemessenes Datensicherungskonzept definiert.
Das Datensicherungskonzept
Das Datensicherungskonzept legt für jede Schutzklasse die organisatorischen und technischen Details der Datensicherung fest. Zu den organisatorischen Details gehören dabei insbesondere:
- Umfang der Datensicherung (Scope)
- Periodizität der Datensicherung (täglich, wöchentlich, monatlich, …)
- Zeitpunkt der Datensicherung (Tagesende, Wochenende, Monatsende, …)
- Aufbewahrungsfristen der Datensicherungsstände (Generationenprinzip)
- Geforderte Wiederherstellungszeiten (maximal tolerierbarer Ausfall)
Daraus leiten sich wiederum die technischen Details der Umsetzung ab, insbesondere:
- Datensicherungsverfahren (voll, differentiell, inkrementell)
- Datensicherungsmedium (Festplatte, Tape, …)
- Aufbewahrung der Datensicherungsmedien (on premise, physisch ausgelagert, Cloud, …)